サイバーセキュリティにおける信頼と回復力の構築に関するサイバー政策専門家の見解

サイバーセキュリティはもはやニッチな問題ではなく、グローバルな協力関係を試すものであり、経営陣にとって不可欠な課題であり、サイバー攻撃の標的となることが増えている中小企業にとっては生き残りをかけた問題となっている。

キルステン・トッドは、ホワイトハウス、サイバーセキュリティ・インフラストラクチャセキュリティ庁、そして中小企業に特化したサイバーレディネス・インスティテュートを含む民間および非営利セクターでの指導的役割など、最前線でこの変革を目の当たりにしてきた。

彼女は今週、Mastercardにサイバーセキュリティ・パートナーシップ＆エンゲージメント担当上級副社長として入社し、ますます複雑化する脅威環境において、政府やグローバルパートナーとの連携を強化し、安全なイノベーションが進歩の障害ではなく原動力となるよう尽力する。彼女は、同社がサイバーセキュリティ、不正対策、本人確認、AIを活用したサービスといった事業ポートフォリオを拡大していく中で、戦略的なビジョンと実務的な現実の両方をもたらしてくれるだろう。

「サイバーセキュリティの分野で私たちがよく行うことの多くは、その場の状況を管理することなのです」と彼女は言う。「しかし、マスターカードは将来を見据えた独自の立場にある。」Mastercardは、この分野をリードし、「ビジョンとは何か？」と問いかけるためのリソース、能力、キャパシティ、そしてグローバルな接点を持っています。「より安全で強靭なインフラ、より安全で強靭なエコシステムを構築するにはどうすればよいのか？」

マスターカードのニュースルームは先週、トッド氏と対談し、業界を強化し、情報共有を促進し、セキュリティをイノベーションの根幹に組み込むための枠組み構築に対する彼女のアプローチについて議論した。

インタビューは編集・要約されています。

トッド氏：これは常に議論の的となってきた問題です。政策に関するほとんどの問題と同様に、それは科学ではなく芸術である。政府には驚くほど優れた会議招集能力があり、その役割は、最終的にはリスク管理に基づいた、業界を導く枠組みを確立することにある。政府は、リスク管理に関するガイドラインを提供し、業界が重要なことを優先できるよう支援することで、業界を力づけることができる。コンプライアンスは、最終的には不十分なチェックリストになってしまうため、機能しない。

リスク管理の重要な要素の一つは、決して単独で行ってはならないということである。政府は産業界と連携せずにこのようなことを行うべきではなく、またその逆も同様である。最終的に最善の回復力へのアプローチを実現するためには、両者が協力する必要がある。効果的かつ影響力のあるサイバーリスク管理には、産業界と政府の連携が不可欠である。

トッド氏：環境が変化するにつれて、こうしたことの多くは実際に行動を通じて自然発生的に起こっているのです。私が連邦政府に勤務していた当時、業界と協力してサイバーセキュリティ上の脆弱性に積極的に対処するための取り組みを確立していました。しかし、ほぼ即座に攻撃への対応として協力関係が築かれ、政府と産業界には協力する以外に選択肢は事実上なかった。既に枠組みは構築されていたが、これらの事件や情報漏洩によって、その枠組みが活性化された。双方とも共有すべき重要な情報を持っており、協力することで脅威の所在をより的確に把握できるという認識がますます高まっている。

私たちはよく妥協の兆候について語ります。しかし、私が政府にいた頃は、関心のある指標を特定することに努めていました。何かが起こる可能性を示唆する兆候は何でしょうか？政府は産業界の協力なしにはその問いに答えることはできない。産業界は政府の協力なしにはその質問に答えることはできない。つまり、パズルのピースが全部揃っていない状態で組み立てようとしているようなもので、より良い全体像を把握するには、協力し合う必要があるのです。業界はネットワーク上で把握した情報を共有でき、政府は分野横断的に協力して、パターン、キャンペーン、戦術の特定を支援できる。これらを組み合わせることで、より的確で包括的な脅威像が描き出される。Mastercardは、その技術力、データ資産、脅威インテリジェンスを活かし、世界中の政府にとって強力なパートナーです。

トッド氏：AIはサイバーセキュリティに計り知れないほどの優位性をもたらすだろう。私たちは既に、自動化、脆弱性管理、修復、安全なコードの設計能力など、長年にわたって苦労してきたあらゆる面で、こうした変化を目の当たりにしています。しかし、敵対勢力はそれを自分たちの目的に利用する方法を急速に解明しつつある。特にAIを活用したランサムウェアでは、脆弱性を悪用するのに数週間かかっていたのが15分で済むようになり、以前は手作業で行っていた脆弱性のスキャンや交渉が自動化されるなど、こうした傾向が顕著に見られます。

しかし朗報なのは、他の技術革命とは異なり、私たちはこうしたことをすべて初期段階で認識しているということだ。AIと機械学習自体は以前から存在していたが、一般に普及したのはここ数年のことである。グローバル社会として、私たちはこれらの技術を適切に利用することの重要性を認識しています。私たちは、この技術革新には、実際に技術の性能向上に役立つ枠組みが必要であることを理解しています。安全なイノベーションは矛盾語であってはならない。セキュリティを最初から組み込むことで、イノベーションが促進されます。産業界と政府の両方がAIを導入していることから、世界規模での幅広い取り組みが必要であることは明らかであり、企業や各国が協力して、何をするべきかを理解し、行動のための枠組みを構築する方法を模索しているのを目にしていると思います。

トッド：サイバーレディネス研究所では、人間の行動に焦点を当てました。中小企業が倒産しないために必要な、基本的なサイバーセキュリティ対策について教育することで、中小企業の経営改善をどのように支援できるでしょうか？COVID-19の流行中に、CRI加盟企業の1社を通して、グローバルサプライチェーンが中小企業に依存している現状を目の当たりにしました。彼らは小規模な事業を営んでいたが、ランサムウェアの被害に遭い、倒産に追い込まれ、会社のグローバルサプライチェーンにも支障が出た。もっと頑張らなければならない。満ち潮は全ての船を持ち上げる。中小企業のサイバーセキュリティに投資する必要がある。

中小企業のインフラにサイバーセキュリティやサイバー衛生対策を統合する際には、自動化が間違いなく役立ちます。また、政府がセキュリティ製品を提供する企業に対し、セキュリティ機能を技術のデフォルト機能として組み込むよう奨励する機会もある。近年の技術進歩により、セキュリティ対策をエンドユーザーや中小企業から切り離し、技術インフラに組み込むことが可能になった。中小企業のサイバーセキュリティへの投資と優先的な取り組みの重要性を過小評価してはならない。

トッド氏：長い間、サイバーセキュリティは競争上の優位性を得るための選択肢であり、各組織が投資するかどうかを選択できるものであり、また個別に実施されるものと考えられていました。それほど昔のことではないが、企業は「サイバーセキュリティには投資しない。何かあった時の対応にだけ投資すればいい」と言う時期があった。

しかし、私たちが目にし、高く評価しているのは、パートナーシップやコラボレーション、共同防衛への転換であり、包括的なサイバーセキュリティとレジリエンスは、単一の組織だけでは達成できないということです。世界中の政府、民間企業、技術革新者は、デジタルエコシステムのセキュリティは集団的な責任であることを認識している。サイバーセキュリティがビジネス戦略やイノベーションに統合されつつあることも、私は心強く感じています。ITだけの問題ではない。サイバーレジリエンスは今や経営陣の議題となっている。それは信頼、ブランド、そして成長に直接結びついている。こうした認識の高まりは、組織がセキュリティ技術、脅威インテリジェンス、異業種間連携に実際にどのように投資し、優先順位をつけるかという方法を変革しつつある。将来の持続的な成長には、組み込み型セキュリティが不可欠である。

Mastercardは、様々な分野、政府、業界をリードし、基準を引き上げ、価値ある戦略的パートナーとなるための、他に類を見ない立場にある。Mastercardは日々、コラボレーションがいかに強力な力を持つか、政府、業界、分野、規制当局間のパートナーシップがいかにレジリエンスのあり方を再定義し、サイバーセキュリティをイノベーションプロセス自体に統合しているかを目の当たりにしています。Mastercardは、テクノロジー、信頼、そして商取引が交わる地点に位置しているため、脅威が顕在化する前に予測し、デジタル経済の安全で強靭な成長を確保することができる。